Violation de données personnelles

PROCÉDURE DE RÉPONSE EN CAS DE VIOLATION DE DONNÉES PERSONNELLES SUR YOUSIZER.COM

04.01.2026

1. DÉFINITIONS ET ABRÉVIATIONS

Cette procédure de réponse aux violations de données personnelles (« Procédure »),www.yoursizer.comLa présente procédure a été élaborée par Yoursizer.com (« Société » ou « Responsable du traitement »), dont le siège social est situé à [adresse], conformément aux dispositions de la loi n° 6698 relative à la protection des données personnelles (KVKK) et à la législation secondaire applicable. Il est essentiel de clarifier les termes techniques et juridiques employés dans la présente procédure afin d’assurer une compréhension commune à toutes les parties prenantes. Vous trouverez ci-dessous la définition des principaux termes et abréviations utilisés dans le cadre de cette procédure, conformément aux dispositions de la législation applicable, et notamment à l’article 3 de la KVKK :

• •Anonymisation :Le traitement des données personnelles consiste à rendre ces données de telle sorte qu'elles ne puissent plus être associées à une personne physique identifiée ou identifiable, même lorsqu'elles sont combinées à d'autres données. Dans le cas précis de Yoursizer.com, cela implique la suppression définitive du lien d'identification, notamment pour les données utilisées à des fins d'amélioration des algorithmes et de recherche agrégée.

• •Données biométriques :Selon l'article 6 de la loi sur la protection des données personnelles, les données personnelles qui permettent de distinguer de manière unique la morphologie d'une personne, telles que la taille, la longueur des jambes, le tour de taille, la largeur des épaules, le tour de poitrine et le tour de hanches, sont considérées comme des catégories particulières de données personnelles.Informations sur les tailles recommandéesCela concerne par exemple les mensurations corporelles. Ces données constituent des informations sensibles qui permettent de distinguer une personne des autres et de l'identifier.

• •Avatars 3D :Un avatar est un modèle numérique tridimensionnel représentant les caractéristiques physiques d'une personne, généré par nos algorithmes à partir des mensurations corporelles de l'utilisateur. Cet avatar est une représentation unique créée par le traitement de données biométriques et est considéré comme une donnée personnelle sensible.

• •Personne de contact:Il s'agit de la personne physique dont les données personnelles sont traitées. Dans le cas précis de Yoursizer.com, cela inclut les utilisateurs de la plateforme, les visiteurs du site web et toute autre personne physique bénéficiant de nos services.

• •Données personnelles :Les données personnelles désignent toute information se rapportant à une personne physique identifiée ou identifiable. Comme le souligne l'arrêt de la 12e Chambre criminelle de la Cour de cassation, n° 2020/1085 E., 2022/5406 K., sont considérées comme données personnelles toutes les informations permettant d'identifier ou de rendre identifiable une personne, de la distinguer des autres individus au sein de la société et de révéler ses caractéristiques, telles que les informations démographiques, le casier judiciaire, le lieu de résidence, le niveau d'études, la profession, les informations bancaires, le numéro de téléphone, l'adresse électronique, le groupe sanguin, l'état civil, les empreintes digitales, l'ADN, les échantillons biologiques (cheveux, salive, ongles, etc.), l'orientation sexuelle et morale, l'origine ethnique, les opinions politiques, philosophiques et religieuses, et l'appartenance syndicale, lorsque ces informations ne sont pas divulguées à des tiers non autorisés mais partagées avec un cercle restreint de personnes sur demande.
• •Violation de données personnelles (violation de données) :Le traitement des données à caractère personnel désigne les situations où des données personnelles sont obtenues, divulguées, consultées, modifiées, effacées, détruites ou altérées par des tiers de manière illicite. Conformément à l'article 12/5 de la loi relative à la protection des données personnelles, le responsable du traitement a l'obligation de signaler tout traitement de ce type.

• •Conseil:Il s’agit du Conseil de protection des données personnelles, qui est l’organe décisionnel de l’Autorité de protection des données personnelles (KVKK, article 19). ● Données personnelles de catégorie spéciale :Les données personnelles désignent les informations relatives à l'origine raciale ou ethnique, aux opinions politiques, aux convictions philosophiques, à la religion, à l'appartenance à une secte ou à d'autres croyances, à l'apparence et à l'habillement, à l'appartenance à des associations, fondations ou syndicats, à la santé, à la vie sexuelle, aux condamnations pénales et aux mesures de sécurité, ainsi qu'aux données biométriques et génétiques (article 6/1 de la loi KVKK). Les données biométriques, dans ce contexte, sont considérées comme hautement sensibles et relèvent des catégories particulières de données personnelles.

• •Responsable du traitement des données :Il s'agit de la personne physique ou morale qui détermine les finalités et les moyens du traitement des données à caractère personnel et qui est responsable de la mise en place et de la gestion du système d'enregistrement des données (article 3/ı de la loi kényane sur la protection des données à caractère personnel). Dans le cadre de la présente procédure, il s'agit de Yoursizer.com.

• •Processeur de données :Il s'agit de la personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable du traitement, conformément à l'autorisation conférée par ce dernier (article 3/ğ de la loi kényane sur la protection des données). Les tiers, tels que les fournisseurs d'infrastructure cloud et les prestataires de services d'analyse utilisés par Yoursizer.com, peuvent être concernés.

• •VIGNE:Il s'agit de l'abréviation de Data Breach Response Team (Équipe d'intervention en cas de violation de données).

2. ÉQUIPE D'INTERVENTION EN CAS DE VIOLATION DE DONNÉES (VIME) ET RESPONSABILITÉS

Chez Yoursizer.com, nous avons mis en place une équipe interdisciplinaire de réponse aux violations de données (VIME) afin de garantir une intervention rapide, coordonnée et efficace en cas de violation de données. Cette équipe intervient dès la détection d'une violation, gérant les processus de confinement, d'atténuation de ses effets et de garantie du respect total des obligations légales. La composition et les responsabilités de l'équipe peuvent être adaptées en fonction de la complexité et de l'ampleur de l'incident.

2.1. Structure et membres principaux de VIME :VIME se compose des membres principaux suivants et s'élargit avec des consultants externes selon les besoins :

• •Représentant de la haute direction (PDG/CTO) :

• •Elle assure la coordination générale et l'orientation stratégique du processus de réponse aux violations de données.

• •Ils détiennent l'autorité suprême en matière de décisions cruciales.

• •Elle approuve les notifications et les déclarations publiques à adresser au Conseil. ● Elle assure l’allocation rapide des ressources nécessaires (financières et humaines). ● Responsable technique (CTO/Responsable DevOps) :
• •Ils sont responsables de la détection technique, de la vérification et de la

détermination de l'étendue de l'infraction.

• •Elle coordonne l'isolement des systèmes affectés, la correction de la vulnérabilité, la restauration du système et les enquêtes de criminalistique numérique.

• •Elle prépare des analyses de journaux et des rapports techniques.

• •Elle collabore avec des experts en cybersécurité et d'autres équipes techniques. ● Responsable juridique / conformité RGPD :

• •Il surveille la conformité du processus de réponse aux violations de données avec la loi sur la protection des données personnelles (KVKK) et la législation connexe. ● Elle régit le contenu juridique et le calendrier des notifications au Conseil et aux personnes concernées.

• •Elle évalue les risques juridiques potentiels et fournit les conseils juridiques nécessaires.

• •Elle se coordonne avec des conseillers juridiques étrangers.

• •Responsable marketing/communication :

• •Elle collabore avec le service juridique à la préparation de textes d'information destinés aux personnes concernées.

• •Elle gère la communication avec le public et les médias lorsque cela s'avère nécessaire.

• •Elle élabore des stratégies pour protéger la réputation de la marque et la perception du public.

2.2. Liste des contacts en cas d'incident et arbre d'appel d'urgence :Les identités et coordonnées des membres de VIME et des consultants externes (cabinet de cybersécurité, conseiller juridique externe, service communication/relations publiques) sont conservées dans des documents internes à accès restreint : une « Liste de contacts en cas d’incident » et un « Organigramme d’appel d’urgence », afin d’empêcher tout accès non autorisé. L’accès à ces listes est généralement limité à la direction, au responsable RGPD/conformité et au responsable technique/DevOps. Ces listes sont vérifiées périodiquement (au moins tous les six mois) et mises à jour immédiatement en cas de modification. Ces mécanismes visent à minimiser le temps de réponse en garantissant une communication rapide et continue en cas d’incident de sécurité.

2.3. Coordination avec les consultants externes :Selon la nature et l'ampleur de l'incident, VIME peut collaborer avec des experts externes en cybersécurité, des sociétés d'investigation numérique, des conseillers juridiques externes et des agences de relations publiques et de communication. Ces partenaires externes apportent leur soutien à VIME dans leurs domaines d'expertise respectifs, contribuant ainsi à la mise en œuvre professionnelle et exhaustive du processus de réponse à la violation de données. Les obligations en matière de sécurité des données, de confidentialité et de notification des violations sont clairement stipulées dans tous les contrats conclus avec les prestataires de services externes. Conformément à l'article 12/2 de la loi kényane sur la protection des données (KVKK), le responsable du traitement est solidairement responsable avec une autre personne physique ou morale de la mise en œuvre des mesures nécessaires lorsque des données à caractère personnel sont traitées pour son compte.

3. DÉTECTION DES VIOLATIONS DE DONNÉES ET PROCESSUS D'ÉVALUATION INITIALE

La gestion efficace des violations de données repose avant tout sur la détection rapide et précise de la violation, suivie d'une évaluation initiale et de mesures de réponse immédiates. Chez Yoursizer.com, nous gérons ces processus selon les étapes suivantes :

3.1. Signalement d'une violation présumée et ouverture d'un rapport d'incident :Les soupçons de violation de données peuvent provenir de diverses sources :

• •Anomalies du journal système :Accès anormal, transferts de données non autorisés ou comportements système détectés par les systèmes de gestion des informations et des événements de sécurité (SIEM).

• •Réclamations des utilisateurs :Activités suspectes sur les comptes des personnes concernées, allégations de divulgation de données personnelles ou signes d'usurpation d'identité.

• •Avis aux tiers :Rapports de violation de données effectués par des chercheurs en sécurité, des partenaires commerciaux ou d'autres organisations.

• •Audits internes :Les failles de sécurité critiques identifiées lors des audits de sécurité périodiques ou des analyses de vulnérabilité sont signalées. En cas de suspicion d'intrusion, le personnel concerné en informe immédiatement VIME et un rapport d'incident est ouvert via le système de gestion des incidents. Ce rapport doit inclure l'heure de début de l'incident, son mode de détection, l'identité de la personne l'ayant signalé et les premières observations.

3.2. Stratégies initiales de vérification technique et d'isolation :Une fois le rapport d'incident ouvert, le directeur technique (CTO/DevOps Officer) et l'équipe technique concernée prennent les mesures suivantes pour vérifier rapidement la violation présumée :

• •Vérification:Les journaux d'activité, les indicateurs système, les alertes de sécurité et l'état des systèmes affectés sont analysés afin de déterminer la réalité et la nature de la violation. Différents scénarios sont évalués, tels que l'accès non autorisé, la fuite de données, la perte d'appareils et l'utilisation abusive de données.

• •Isolement et mesures d'urgence :Pour enrayer la propagation de la brèche et minimiser les dommages potentiels, des stratégies d'isolement d'urgence sont mises en œuvre. Ces stratégies peuvent inclure :

• •Interruption d'accès :Les comptes ou clés dont l'accès a été effectué sans autorisation seront immédiatement révoqués.

• •Segmentation du système :Les systèmes concernés sont isolés des autres systèmes critiques ou du réseau général grâce à la segmentation du réseau (isolation VPC). ● Suspension/restriction de service :Suspension ou restriction temporaire de l'accès au service ayant entraîné la violation.

• •Rotation des mots de passe :Tous les mots de passe système et les clés API susceptibles d'avoir été affectés par la faille de sécurité seront renouvelés.

• •Règles du pare-feu :Bloquer le trafic provenant d'adresses IP suspectes à l'aide de règles de pare-feu.

• •Objectif : stopper la propagation.L'objectif principal de ces premières mesures d'intervention est de limiter l'étendue de la violation, d'empêcher toute nouvelle perte de données ou tout accès non autorisé, et de protéger l'intégrité du système. L'arrêt de la 11e chambre civile de la Cour suprême, n° 2024/229 E., 2024/5935 K., a également établi que le défaut des banques de mettre en œuvre des mesures de sécurité adéquates dans leur infrastructure internet constitue une négligence. Ceci démontre clairement la responsabilité technique du responsable du traitement des données en matière de prévention et d'arrêt de la propagation des violations.

3.3. Détermination du périmètre concerné :Parallèlement aux mesures d'isolement, des efforts sont déployés pour déterminer rapidement les catégories de données affectées par la violation, le nombre estimé de personnes impliquées, les systèmes touchés et la période durant laquelle la violation a eu lieu. Ces informations sont essentielles pour les analyses de risques et les procédures de notification ultérieures.

4. CLASSIFICATION DES INFRACTIONS ET ANALYSE DES RISQUES

Suite à la détection d'une violation de données et aux premières mesures d'isolement, une analyse de risques approfondie est menée afin de déterminer la gravité de l'incident et son impact potentiel sur les personnes concernées. Cette analyse sert de base à la définition de la stratégie de réponse, des obligations de notification et des mesures à prendre. Yoursizer.com classe les violations potentielles selon la matrice de risques suivante :

4.1. Matrice de classification des risques :

4.2. Critères d'analyse des risques :Les critères suivants sont évalués de manière approfondie lors de la classification des infractions :

• •Catégorie de données concernées :Le niveau de sensibilité des données. Surtout.données biométriques (mensurations corporelles, avatar 3D)Conformément à l'article 6 de la loi KVKK (Loi sur la protection des données personnelles), il s'agit de catégories particulières de données personnelles, et leur violation est considérée comme présentant un « risque élevé ». En effet, comme l'indique la jurisprudence de la Cour suprême, ces données constituent des informations sensibles permettant d'identifier une personne, de la distinguer des autres individus et de révéler ses caractéristiques. Les données financières (informations de paiement), les données d'identité et les coordonnées présentent également un risque élevé.

• •Nombre de personnes touchées :Le niveau de risque augmente à mesure que le nombre de personnes touchées par la violation augmente.

• •Nature et étendue de l'infraction :Quelles actions ont affecté les données, telles que l'accès non autorisé, la copie, la modification, la suppression ou la destruction ? Combien de temps a duré la violation et quelle zone géographique a-t-elle couverte ?

• •Conséquences potentielles de l'infraction :Les personnes concernées peuvent subir des préjudices concrets et graves, tels que l'usurpation d'identité, la fraude, la discrimination, l'atteinte à leur réputation et des pertes financières.

• •Niveau de protection des données :Que les données compromises aient été chiffrées, masquées ou anonymisées, de telles mesures de protection peuvent réduire le niveau de risque.

• •Capacité du responsable du traitement des données à contrôler :La rapidité avec laquelle l'infraction a été maîtrisée et l'efficacité des mesures prises pour empêcher qu'elle ne se reproduise.

Cette analyse des risques est rapidement réalisée par VIME, permettant ainsi l'élaboration d'un plan de réponse et d'une stratégie de notification adaptés à la gravité de l'incident.

5. INTERVENTION OPÉRATIONNELLE ET AMÉLIORATION DU SYSTÈME

Afin de minimiser l'impact de la fuite de données et de rétablir la sécurité du système, l'équipe technique de VIME met en œuvre rapidement et de manière coordonnée des procédures de réponse et de remédiation opérationnelles. Ces procédures comprennent des étapes allant du confinement de la fuite à la mise en place de solutions pérennes.

5.1. Correction de la vulnérabilité et rétablissement de la sécurité du système :

• •Analyse des causes profondes (ACR) :Une analyse détaillée des causes profondes (ACR) est menée afin de déterminer la cause sous-jacente de la violation (par exemple, vulnérabilité logicielle, erreur de configuration, accès non autorisé, erreur humaine). Cette analyse est essentielle pour prévenir des violations similaires à l'avenir. L'arrêt n° 2019/7710 E., 2019/13426 K. de la 8e chambre criminelle de la Cour suprême a également critiqué les autorités chargées de l'enquête pour leur incapacité à recueillir des preuves suffisantes et à déterminer la cause de l'incident ; ceci renforce la responsabilité du responsable du traitement des données d'identifier et de traiter la cause profonde de la violation.

• •Correction des vulnérabilités :La vulnérabilité identifiée (par exemple, un bogue logiciel, une faille de sécurité) est immédiatement corrigée. Cela se fait par l'application de correctifs de sécurité, la modification du code ou la mise à jour des configurations système.
• •Rotation des mots de passe/clés :Tous les mots de passe utilisateur, mots de passe système, clés API et clés de chiffrement susceptibles d'avoir été affectés par la faille de sécurité seront immédiatement remplacés. Les utilisateurs seront invités à modifier leurs mots de passe.

• •Renforcement des contrôles d'accès :Les politiques de contrôle d'accès basé sur les rôles (RBAC) sont revues, les autorisations sont redéfinies et l'authentification multifacteurs (MFA) est rendue obligatoire pour les accès critiques. Conformément à l'article 12 de la loi turque sur la protection des données personnelles (KVKK), le responsable du traitement est tenu de prendre toutes les mesures techniques et administratives nécessaires pour garantir un niveau de sécurité adéquat et empêcher tout accès illicite aux données personnelles. La jurisprudence indique également que le non-respect de ces mesures peut entraîner des sanctions administratives.

• •Améliorations du système :Les règles du pare-feu (WAF) sont mises à jour, les politiques de segmentation du réseau sont renforcées et les systèmes de surveillance/d'alerte sont rendus plus sophistiqués.

5.2. Restauration à partir de sauvegardes et redémarrage du service :

• •Vérification de l'intégrité des données :L'intégrité et l'exactitude des données concernées sont vérifiées. En cas de perte ou de corruption de données, un plan de restauration est élaboré à partir de sauvegardes sécurisées et saines.

• •Restaurer:Les systèmes ou bases de données affectés sont restaurés à l'aide des sauvegardes les plus récentes et les plus sécurisées. Les stratégies de sauvegarde sont conçues pour garantir une restauration rapide et fiable en cas de violation de données (voir la politique de conservation et de destruction des données).

• •Lancement progressif du service :Une fois les systèmes rétablis en toute sécurité et toutes les vulnérabilités corrigées, le service sera redémarré progressivement sous étroite surveillance. Les premières mesures pourront inclure la limitation de l'accès ou la désactivation de certaines fonctionnalités.

5.3. Objectifs temporels :Le facteur temps est crucial dans les processus de réponse opérationnelle. Yoursizer.com adopte les objectifs de temps suivants :

• •Isolement initial et mesures d'urgence :Suite à la détection d'une infraction présuméedans les premières heuresC'est terminé. L'objectif est d'enrayer immédiatement la propagation de l'infraction.

• •Évaluation du périmètre/des risques et rapport initial :Évaluation initiale concernant l'étendue de la violation, les catégories de données affectées et le nombre de personnes impliquées,dans les 24 à 48 premières heuresCeci est clarifié. Cela constitue la base pour déterminer les obligations de notification.

• •Correction des vulnérabilités et restauration du système :Selon la gravité de l'incident, la vulnérabilité peut être corrigée et les systèmes peuvent être restaurés en toute sécurité.en quelques joursIl est prévu qu'il soit achevé.

• •Actions correctives et préventives permanentes :Suite à l'analyse des causes profondes, des améliorations techniques et administratives permanentes seront mises en œuvre afin d'éviter que des violations similaires ne se reproduisent à l'avenir.dans les semaines qui ont suivi la clôture de l'incidentC'est planifié et mis en œuvre.

Ces mesures visent à minimiser l'impact opérationnel de la violation de données tout en rétablissant la sécurité du système et l'intégrité des données le plus rapidement possible.

6. OBLIGATIONS ET PROCÉDURE DE NOTIFICATION

En cas de violation de données à caractère personnel, l’obligation du responsable du traitement d’en informer l’Autorité de protection des données (la Commission nationale de l’informatique et des libertés) et les personnes concernées est expressément prévue à l’article 12, paragraphe 5, de la loi n° 2019/10 relative à la protection des données personnelles (KVKK). Les modalités et principes de ces notifications sont détaillés dans la décision n° 2019/10 de la Commission relative à la notification des violations de données. Yoursizer.com applique les procédures ci-dessous afin de remplir pleinement et dans les délais impartis ces obligations :

6.1. Notification au Conseil d'administration :

• •Période de préavis :Si des données à caractère personnel faisant l'objet d'un traitement sont obtenues par des tiers par des moyens illicites, le responsable du traitement des données doit signaler cette situation.dès que possibleet, le cas échéant, à compter de la date à laquelle l'infraction a été constatéeDans les 72 heuresLe Conseil est informé (article 12/5 du Code de la propriété intellectuelle). Ce délai court à compter du moment où l'infraction est définitivement constatée ou dès qu'un soupçon d'infraction est étayé par des preuves solides. En cas de retard, les motifs justifiés de ce retard sont consignés en détail et mentionnés dans la notification.

• •Contenu de l'annonce :La notification au Conseil doit être effectuée en remplissant le « Formulaire de notification de violation de données » publié par le Conseil. Ce formulaire doit comporter au minimum les informations suivantes :

• •Date de l'infraction et heure à laquelle elle a été constatée.

• •La nature de la violation (par exemple, accès non autorisé, fuite de données, perte). ● Catégories de données concernées (par exemple, identité, contact, biométrie, données financières).

• •Nombre estimé de personnes touchées.

• •Les conséquences potentielles de la violation (par exemple, le risque d’usurpation d’identité).

• •Mesures prises ou prévues par le responsable du traitement des données.

• •Conseils que les personnes concernées peuvent suivre pour se protéger.

• •Voies de contact que les parties intéressées peuvent utiliser.

• •Format de notification :La notification au Conseil d'administration se fera par le biais du portail en ligne ou d'autres canaux de communication électronique désignés par le Conseil.

6.2. Notification à la personne concernée :

• •Obligation de notification :Notification aux parties concernées, impact de la violation sur les parties concernéesrisque élevéLe cas échéant, des mesures sont prises sans délai (article 12/5 de la loi sur la protection des données personnelles). Les situations telles que la divulgation de données biométriques (mensurations corporelles, avatar 3D), l'usurpation d'identité ou la fraude sont considérées comme « à haut risque ».

• •Contenu de l'annonce :La notification aux personnes concernées est rédigée dans un langage plus simple et plus compréhensible que la notification au Conseil d'administration. Elle doit comprendre au moins les informations suivantes :
• •Résumé et nature de l'infraction.

• •Quelles données personnelles ont été concernées ?

• •Les conséquences potentielles de cette violation sur eux-mêmes.

• •Mesures prises par le responsable du traitement des données.

• •Mesures qu’ils peuvent prendre pour protéger leurs données personnelles (par exemple, changer leurs mots de passe, vérifier l’activité de leurs comptes).

• •Canaux de candidature et de communication (courriel, ligne d'assistance). ● Format de notification :Les personnes concernées sont informées par les canaux de communication appropriés, tels que courriel, SMS, annonce intégrée à l'application ou notification personnelle via la plateforme. Conformément à l'article 10/1-d de la loi allemande sur la protection des données personnelles (KVKK), qui impose d'informer les personnes concernées de leurs droits, la présente notification aborde également ces droits. ● Notification en cas de transfert international :En cas de violation de données à caractère personnel survenant lors d'un transfert de données à l'étranger, le responsable du traitement remplit ses obligations de notification auprès de l'autorité compétente et des personnes concernées, conformément à l'article 9 de la loi kényane sur la protection des données (KVKK). Le sous-traitant auquel les données sont transférées est également tenu d'informer le responsable du traitement de cette violation. Conformément à l'article 12/2 de la KVKK, le responsable du traitement est solidairement responsable avec le sous-traitant.

6.3. Diffusion progressive des notifications :Dans certains cas, il peut s'avérer impossible de déterminer avec précision tous les détails de la violation dans un délai de 72 heures. Le cas échéant, le responsable du traitement des données en informera partiellement le Conseil d'administration, en se basant sur les informations recueillies, et fournira des informations complémentaires dans les meilleurs délais. Cette approche est conforme aux exigences du Conseil d'administration en matière de transparence et de notification rapide.

7. SURVEILLANCE DES MESURES TECHNIQUES ET ADMINISTRATIVES PRÉVENTIVES

L'efficacité d'une procédure de réponse aux violations de données est assurée non seulement par les mesures réactives prises au moment de la violation, mais aussi par la révision et la mise à jour continues des mesures proactives visant à prévenir les violations. Conformément à l'article 12 de la loi turque sur la protection des données personnelles (KVKK), Yoursizer.com met en œuvre les mécanismes d'audit suivants afin de respecter ses obligations en matière de sécurité des données et de minimiser les risques de violations :

7.1. Examen des mesures techniques :Les mesures de sécurité technique font l'objet d'audits et de mises à jour réguliers, en tenant compte des évolutions technologiques et de la nature dynamique des cybermenaces. Dans ce contexte :

• •Authentification multifacteurs (MFA) :L'efficacité et la portée de l'utilisation de l'authentification multifacteur (MFA) pour accéder aux systèmes critiques et aux données sensibles sont au moins...Tous les 6 moisLa question est en cours de révision. L'exigence d'authentification multifacteur est étendue aux nouveaux systèmes et groupes d'utilisateurs.

• •Contrôle d'accès basé sur les rôles (RBAC) :Les matrices d'autorisation d'accès et les politiques RBAC garantissent que les employés ont au moins [nombre] ans après les changements d'emploi ou les mises à jour du système.Tous les 6 moisElle fait l'objet d'un examen. Le respect du principe du moindre privilège est surveillé en permanence.
• •Méthodes de chiffrement :La validité et la fiabilité des algorithmes de chiffrement utilisés pour le transport (TLS) et le chiffrement des données au repos sont vérifiées périodiquement. La gestion et la rotation des clés de chiffrement font également l'objet d'un suivi.

• •Sécurité du réseau (pare-feu/WAF, segmentation) :Les règles de pare-feu, les politiques de segmentation du réseau et les systèmes de détection/prévention d'intrusion (IDS/IPS) sont régulièrement testés et optimisés. Des mises à jour sont effectuées pour contrer les nouvelles menaces.

• •Gestion des vulnérabilités et application de correctifs :Des analyses régulières sont effectuées pour détecter les vulnérabilités logicielles et matérielles des systèmes, et les vulnérabilités identifiées sont priorisées, avec des processus de correctifs et de mises à jour mis en œuvre rapidement.

• •Sauvegarde et destruction sécurisées :Les stratégies de sauvegarde, la sécurité des sauvegardes, le chiffrement et les périodes de rotation (rotation de 72 jours) doivent être au moins...Tous les 6 moisLes données sont analysées. Les procédures d'élimination sécurisée des sauvegardes expirées sont auditées.

7.2. Examen des mesures administratives :Les mesures administratives sont régulièrement évaluées afin de minimiser les risques pouvant découler de facteurs humains :

• •Formation et sensibilisation du personnel :L'efficacité et la fréquence des formations dispensées à tous les employés sur la protection des données personnelles, la sécurité des données et les procédures de réponse aux violations de données devraient être au moinsTous les 6 moisIls sont évalués. Une formation d'orientation obligatoire est dispensée aux nouveaux employés.

• •Accords de confidentialité et matrice d'autorisation :L’exactitude et la validité des accords de confidentialité signés avec les employés et les partenaires commerciaux, ainsi que l’applicabilité de la matrice d’autorisation, sont vérifiées périodiquement.

• •Audit des fournisseurs/sous-traitants :Les politiques et pratiques de sécurité des données des prestataires de services tiers traitant des données personnelles doivent au moins respecter leurs obligations contractuelles.une fois par anCe processus fait l'objet d'un suivi. En cas de transfert de données à l'étranger, l'efficacité des garanties prévues à l'article 9 de la loi KVKK (clauses contractuelles types, engagements) est vérifiée.

• •Politiques et procédures internes :Toutes les politiques et procédures internes, telles que les avis de confidentialité, les déclarations de consentement explicite, la politique relative aux cookies et la politique de stockage et de destruction des données, sont mises à jour conformément aux changements législatifs et aux décisions du conseil d'administration, au minimum.Tous les 6 moisIl est revu et mis à jour.

7.3. Obligation d’audit et de rapport :Conformément à l'article 12/3 de la loi KVKK (Loi sur la protection des données personnelles), le responsable du traitement des données est tenu de réaliser ou de faire réaliser les audits nécessaires au sein de son institution ou organisation afin de garantir la mise en œuvre des dispositions de cette loi. Dans ce contexte, les résultats des audits menés par VIME et le délégué à la conformité KVKK sont régulièrement communiqués à la direction. Ces rapports font état des lacunes constatées, des mesures correctives prises et des plans d'amélioration. Ce cycle continu d'audit et d'amélioration renforce l'engagement de Yoursizer.com en matière de sécurité des données personnelles et de conformité légale.

8. DOCUMENTATION ET TENUE DE REGISTRES

Une documentation détaillée et complète est essentielle pour garantir la transparence, la responsabilité et l'amélioration continue du processus de gestion des violations de données. Yoursizer.com consigne méticuleusement chaque étape de ce processus, respectant ainsi ses obligations légales et intégrant les enseignements tirés à sa culture d'entreprise.

8.1. Documenter le processus de violation :Dès la détection d'une violation de données, toutes les décisions prises, les actions entreprises et les notifications émises par VIME sont consignées chronologiquement et en détail. Ces enregistrements doivent inclure les informations suivantes :

• •Numéro et date du rapport d'incident :L'identifiant unique de la violation et la date de son premier enregistrement.

• •Méthode de détection :Comment et par qui la violation a été détectée (par exemple, anomalie dans les journaux, plainte d'un utilisateur, rapport d'un tiers).

• •Résultats de l'examen et de la vérification initiaux :La réalité, la nature et les premières constatations de la brèche.

• •Mesures d'isolement et d'intervention d'urgence :Toutes les mesures techniques et administratives prises pour stopper la propagation de la faille (par exemple, refus d'accès, rotation des mots de passe, segmentation du système).

• •Catégories de données concernées et nombre estimé de personnes :Les types de données personnelles affectées par la violation (identité, contact, biométriques, financières, etc.) et le nombre estimé de personnes concernées.

• •Résultats de l'analyse des risques :Évaluation du risque potentiel de violation pour les personnes concernées (faible, moyen, élevé).

• •Rapport d'analyse des causes profondes (ACR) :Les causes profondes de la faille, les vulnérabilités identifiées et la manière dont elles ont été traitées.

• •Mesures correctives et préventives prises :Améliorations permanentes du système et modifications des processus afin de prévenir la récurrence de l'infraction.

• •Notifications envoyées aux personnes concernées :La date de la notification, son contenu, les canaux de communication utilisés et le nombre de personnes concernées.

• •Notifications soumises au Conseil :La date de la notification, son contenu, le formulaire utilisé et tous les documents qui l’accompagnent.

• •Comptes rendus et décisions des réunions VIME :Dates, participants et décisions prises lors de toutes les réunions organisées par VIME pendant la procédure relative à la violation de données.

• •Documents relatifs aux communications avec les parties prenantes externes :Toute la correspondance et les comptes rendus de réunions avec les entreprises de cybersécurité, les conseillers juridiques ou les agences de relations publiques.

8.2. Tenue des registres et « fichier journal des infractions » :Conformément à la loi sur la protection des données personnelles (KVKK) et à la législation connexe, tous les processus relatifs à la suppression, à la destruction ou à l'anonymisation des données personnelles sont enregistrés, et ces enregistrements sont conservés pendant au moins une certaine période, à l'exclusion d'autres obligations légales.pendant trois ansCe principe s'applique également aux enregistrements des violations de données. Tous ces documents sont conservés dans un environnement numérique centralisé et sécurisé (crypté et à accès restreint) sous l'appellation « Dossier d'enregistrement des violations ». Ce dossier constitue la principale source de référence à présenter lors d'un éventuel audit du Conseil d'administration ou dans le cadre d'une procédure judiciaire. L'importance de protéger l'intégrité et la validité des preuves numériques a également été soulignée dans l'arrêt de la 3e Chambre criminelle de la Cour de cassation, n° 2021/4383 E., 2023/2717 K. Par conséquent, l'intégrité et l'immuabilité de tous les documents du dossier d'enregistrement des violations sont techniquement garanties.

8.3. Évaluation post-incident et amélioration continue :Chaque incident de violation de données est une occasion d'apprentissage pour notre entreprise. Une fois le processus de gestion de l'incident terminé, VIME établit un rapport d'évaluation post-incident détaillé. Ce rapport présente les enseignements tirés de la violation, les axes d'amélioration des procédures existantes et des recommandations pour atténuer les risques futurs. Ces rapports contribuent au renforcement continu de la sécurité des données de Yoursizer.com en alimentant le mécanisme de révision et de mise à jour des mesures techniques et administratives préventives (voir section 7).

Yoursizer.com